Eine AWS Organization mit einer OU betreibt EC2-Instances in Mitgliedskonten. Das Unternehmen muss sicherstellen, dass die Anmeldeinformationen jeder EC2-Instance nur von der spezifischen EC2-Instance verwendet werden können, für die sie ausgestellt wurden. Welche SCP-Konfiguration erzwingt dies?

Die korrekte Option nutzt globale Bedingungsschlüssel, um sicherzustellen, dass Anfragen von einer EC2-Instance stammen und die Quell-VPC sowie die private IP-Adresse mit den Metadaten der Instance übereinstimmen. aws:EC2InstanceSourceVPC und aws:EC2InstanceSourcePrivateIPv4 sind globale Bedingungsschlüssel, die die VPC-ID und die private IP-Adresse der EC2-Instance liefern, von der die Anmeldeinformationen stammen. aws:SourceVpc und aws:VpcSourceIp beziehen sich auf die VPC-ID und die Quell-IP-Adresse der aktuellen Anfrage. Indem man prüft, ob diese Paare identisch sind, wird sichergestellt, dass die Anmeldeinformationen nur von der spezifischen Instance verwendet werden, der sie zugewiesen wurden. Das Anwenden des SCP auf die OU erzwingt diese Richtlinie für alle Mitgliedskonten. Die erste und vierte Option vertauschen die Bedingungsschlüsselpaare oder verwenden aws:VpcSourceIp fälschlicherweise als Ersatz für die private IP der Instance, was zu einer ineffektiven oder fehlerhaften Richtlinie führen würde. Die dritte Option ist zu restriktiv, da sie explizite Listen von VPCs und IPs erfordert, die schwer zu verwalten sind und nicht dynamisch mit neuen Instances oder VPCs skalieren.